Ghostscript CVE-2026-39919: PDF อัปโหลดอาจทำให้แฮกเกอร์ยึดเซิร์ฟเวอร์

ช่องโหว่ร้ายแรง CVE-2026-39919 ใน Ghostscript เวอร์ชัน 9.21 ถึง 10.07.1 อาจทำให้ผู้โจมตีรันโค้ดจากระยะไกลได้ เพียงแค่ส่งไฟล์ PDF ที่ถูกแต่งแต่งมา (BleepingComputer) ช่องโหว่นี้ถูกค้นพบโดยทีม Wordfence ด้วยระบบ Argus AI เมื่อวันที่ 23 สิงหาคม (AllSecurityNews / Wordfence) และ Artifex ได้ออกเวอร์ชันแก้ไข 10.08.0 เมื่อวันที่ 8 กันยายนที่ผ่านมา (SecurityOnline) ปัจจุบันยังไม่มีรายงานการโจมตีจริงในโลกจริง (BleepingComputer)

เรื่องนี้สำคัญกับคนธรรมดาแบบเราเพราะเว็บจำนวนมากใช้ Ghostscript ในการสร้างภาพย่อหรือพรีวิว PDF โดยอัตโนมัติ ไม่ว่าจะเป็นเว็บสมัครงานของบริษัท เว็บโรงเรียนที่รับเอกสารนักเรียน เว็บโรงพยาบาลที่รับไฟล์ตรวจสุขภาพ หรือแม้แต่เว็บร้านค้าออนไลน์ที่ให้ลูกค้าอัปโหลดใบเสร็จ ถ้าเซิร์ฟเวอร์ยังใช้เวอร์ชันเก่า แฮกเกอร์อาจใช้ไฟล์ PDF ธรรมดา ๆ ที่ดูไม่น่าสงสัยเพื่อแทรกแซงระบบได้ (SecurityOnline) นึกภาพตามร้านถ่ายเอกสารแถวบ้านที่รับไฟล์จากลูกค้าทุกคน ถ้าเครื่องถ่ายเอกสารของร้านเชื่อมกับระบบออนไลน์และใช้โปรแกรมเก่า ช่องโหว่นี้อาจเปิดทางให้คนไม่ดีเข้ามายุ่งกับข้อมูลของลูกค้าทั้งร้านได้เลย

สรุป 30 วินาที: เกิดอะไรขึ้น

นักวิจัยจาก Wordfence ใช้ระบบ Argus AI ค้นพบ heap buffer overflow ในโค้ดที่จัดการ JPEG 2000 ภายใน PDF ทำให้ Ghostscript เขียนข้อมูลเกินขอบเขตบัฟเฟอร์ 256 ไบต์ไปถึง 1,024 ไบต์ ส่งผลให้เกิด memory corruption และอาจนำไปสู่ remote code execution (BleepingComputer) ช่องโหว่กระทบระบบที่รับ PDF จากผู้ใช้ออนไลน์และแปลงเป็นภาพย่อผ่าน ImageMagick หรือเครื่องมืออื่นที่เรียก Ghostscript (SecurityOnline) Artifex แก้ไขในเวอร์ชัน 10.08.0 เมื่อ 8 กันยายน และมีการ backport ไปยังเวอร์ชันเก่า (AllSecurityNews / Wordfence) ยังไม่มีหลักฐานการถูกโจมตีจริง (BleepingComputer)

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณเป็นเจ้าของเว็บไซต์ WordPress หรือใช้ระบบที่ให้คนอื่นอัปโหลด PDF ไม่ว่าจะเป็นฟอร์มสมัครงาน ระบบจัดการเอกสารของบริษัทเล็ก ๆ หรือเว็บโรงเรียนที่นักเรียนส่งรายงาน คุณอาจเสี่ยงโดยไม่รู้ตัว (SecurityOnline) แม้แต่เว็บราชการหรือโรงพยาบาลที่รับไฟล์จากประชาชนก็ใช้โปรแกรมเดียวกันนี้ในการสร้างภาพย่อเพื่อแสดงผลเร็ว ๆ

สำหรับคนทั่วไปที่ไม่ได้ทำเว็บ แต่ใช้บริการออนไลน์ทุกวัน เช่น ส่งใบสมัครงานทางเว็บ ส่งเอกสารโรงเรียนทางออนไลน์ หรืออัปโหลดใบเสร็จให้ร้านค้า ถ้าเว็บเหล่านั้นยังไม่แก้ไข ช้อมูลส่วนตัวของคุณอาจตกอยู่ในความเสี่ยงเพราะเซิร์ฟเวอร์ถูกเจาะได้ง่ายขึ้น (BleepingComputer) มันเหมือนกับการที่คุณส่งเอกสารให้พนักงานร้านถ่ายเอกสาร แต่เครื่องของร้านมีช่องโหว่ที่ใครก็ส่งไฟล์พิเศษมาแล้วควบคุมเครื่องทั้งร้านได้

ทำงานยังไง

Ghostscript เป็นโปรแกรมที่อ่านไฟล์ PDF และ PostScript แล้วแปลงเป็นรูปภาพ ใช้สำหรับสร้างภาพย่อ สร้างพรีวิว หรือ压縮ไฟล์ (BleepingComputer) ใน WordPress มันมักถูกเรียกผ่าน PHP Imagick extension ที่เรียก ImageMagick แล้ว ImageMagick ก็เรียก Ghostscript เพื่อจัดการ PDF (SecurityOnline)

ช่องโหว่เกิดในส่วนที่จัดการ JPEG 2000 image ภายใน PDF โดยเฉพาะฟังก์ชันที่ชื่อ sjpx_openjpeg.c เมื่อเจอภาพที่มี component subsampling factors ไม่ตรงกัน โค้ดจะคำนวณขนาดบัฟเฟอร์ผิด ทำให้เขียนข้อมูลเกินขอบเขต (Debian Security Tracker) ผลคือ memory corruption ที่อาจนำไปสู่การรันโค้ดได้ (AllSecurityNews / Wordfence)

ลองนึกภาพเหมือนร้านข้าวตามสั่งที่รับออเดอร์จากแอปทุกอย่าง แต่มีช่องโหว่ที่เคาน์เตอร์คิดเงิน ถ้าลูกค้าส่งใบสั่งที่เขียนเลขจำนวนอาหารผิดปกติ เคาน์เตอร์จะคำนวณผิดแล้วเขียนรายการอาหารล้นโต๊ะจนข้อมูลอื่นพังตามไปด้วย แบบเดียวกับที่ Ghostscript คำนวณขนาดหน่วยความจำผิดแล้วเขียนข้อมูลล้นบัฟเฟอร์ (BleepingComputer)

จุดหักมุม: ไม่ใช่แค่ WordPress

แม้ Wordfence จะโฟกัสที่ WordPress แต่ช่องโหว่นี้ไม่ใช่ปัญหาของ WordPress เพียงอย่างเดียว (SecurityOnline) ระบบจัดการเอกสาร บริการพิมพ์ออนไลน์ เกตเวย์อีเมล หรือ API แปลงไฟล์ใด ๆ ที่ส่ง PDF ที่ไม่น่าเชื่อถือไปให้ Ghostscript ล้วนเสี่ยงทั้งสิ้น (BleepingComputer) แม้ -dSAFER sandbox ของ Ghostscript ก็ป้องกันไม่ได้ (SecurityOnline)

เรื่องเงิน / ผลกระทบ

ถ้าเซิร์ฟเวอร์ถูกโจมตีสำเร็จ ผู้โจมตีอาจยึดสิทธิ์ระดับเดียวกับโปรเซสที่รัน Ghostscript ซึ่งมักเป็นสิทธิ์ของเว็บเซิร์ฟเวอร์ (BleepingComputer) อาจนำไปสู่การขโมยข้อมูลลูกค้า ปลูกมัลแวร์ หรือใช้เซิร์ฟเวอร์เป็นฐานโจมตีต่อไป

สำหรับธุรกิจเล็ก ๆ หรือเว็บโรงเรียน ค่าใช้จ่ายอาจมาจากการกู้ระบบ การตรวจสอบข้อมูลรั่วไหล และสูญเสียความเชื่อมั่นจากผู้ใช้ (SecurityOnline) CVSS ให้คะแนน 9.8 ซึ่งบอกถึงความรุนแรงในสถานการณ์แย่ที่สุด แต่ Wordfence บอกว่ามันเป็น worst case ไม่ใช่ทุกครั้งที่จะสำเร็จ (SecurityOnline) EPSS อยู่ที่ 0.8% ใน 30 วัน (SecurityOnline)

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

BleepingComputer ระบุว่าผู้วิจัยทดสอบ exploit 10,240 ครั้งใน 10 สภาพแวดล้อม Linux แล้วไม่สามารถรันโค้ดได้สำเร็จใน lab testbed แต่ทำได้ใน purpose-built test server (BleepingComputer) ขณะที่ SecurityOnline ระบุผลการทดสอบคล้ายกันแต่เน้นว่าการโจมตีต้องปรับให้ตรงกับสภาพแวดล้อม (SecurityOnline)

เรื่องสถานะการแก้ไขของแต่ละ distribution มีความแตกต่างกันเล็กน้อย Debian 13 แก้ไขแล้วผ่าน security repository แต่ Debian 12 ยัง vulnerable ตาม tracker (Debian Security Tracker) ขณะที่ SecurityOnline ระบุ Ubuntu 22.04, 24.04 และ 26.04 แก้ไขแล้ว และ AlmaLinux 10 แก้ไขเมื่อ 2 ตุลาคม (SecurityOnline) ยังไม่มีตัวเลขราคาหรือความพร้อมใช้งานในไทยที่ชัดเจน

แล้วเราควรทำอะไร

สำหรับเจ้าของเว็บไซต์และผู้ดูแลระบบ

1. ตรวจสอบเวอร์ชัน Ghostscript ที่ใช้ด้วยคำสั่ง gs --version แต่ต้องเช็ค package revision ด้วยเพราะบาง distribution backport แก้ไข (BleepingComputer)
2. อัปเดตเป็นเวอร์ชัน 10.08.0 หรือใหม่กว่า หรือใช้แพ็คเกจที่ backport แก้ไขแล้ว
3. ถ้าใช้ Docker ให้ rebuild image จาก base image ที่อัปเดตแล้ว แล้ว redeploy (SecurityOnline)
4. ถ้ายังอัปเดตไม่ได้ ให้บล็อกการอัปโหลด PDF จากผู้ใช้ทั่วไป หรือปิดการอ่าน PDF ใน policy ของ ImageMagick (BleepingComputer)

สำหรับผู้ใช้ทั่วไป (พนักงานออฟฟิศ นักเรียน ผู้ประกอบการเล็ก)

1. เมื่ออัปโหลดเอกสารทางเว็บ ให้สังเกตว่ามีข้อความเตือนเรื่องความปลอดภัยหรือไม่
2. ถ้าเป็นไปได้ ให้แปลง PDF เป็นรูปภาพก่อนส่ง หรือใช้เว็บที่เชื่อถือได้
3. ถ้าคุณเป็นเจ้าของเว็บเล็ก ๆ ให้ถาม hosting provider ว่าอัปเดต Ghostscript แล้วหรือยัง (SecurityOnline)

สำหรับทีม IT และผู้ดูแลเซิร์ฟเวอร์

1. ตรวจสอบทุก container และ VM ที่มี Ghostscript ติดตั้ง
2. ใช้ vulnerability scanner เช็ค CVE-2026-39919
3. พิจารณาแยก service การแปลงเอกสารไปรันใน sandbox แยกต่างหาก (AllSecurityNews / Wordfence)
4. ติดตาม Debian tracker และ announcement จาก distribution ที่ใช้ (Debian Security Tracker)

ผมมองว่า…

ผมมองว่าเรื่องนี้เป็นตัวอย่างดีที่แสดงให้เห็นว่าโค้ดพื้นฐานที่เราใช้กันมานานหลายปียังมีช่องโหว่ซ่อนอยู่ ไม่ใช่ปัญหาแค่ WordPress หรือปลั๊กอินใด ๆ แต่คือปัญหาของเครื่องมือพื้นฐานที่หลายระบบพึ่งพาโดยไม่รู้ตัว การที่ Wordfence ใช้ AI ช่วยค้นพบก็แสดงให้เห็นว่าต่อไปเราจะต้องใช้เครื่องมืออัจฉริยะช่วยตรวจสอบโค้ดมากขึ้น

ปิดท้าย: สิ่งที่ต้องจับตา

ต้องจับตาว่าจะมี exploit แบบ public ออกมาหรือไม่ แม้ตอนนี้ยังไม่มีรายงาน in-the-wild แต่เมื่อมี PoC crash เปิดเผยแล้ว ความเสี่ยงก็เพิ่มขึ้นตามเวลา (SecurityOnline) นอกจากนี้ยังต้องติดตามว่า distribution ต่าง ๆ จะ backport แก้ไขให้เวอร์ชันเก่าได้เร็วแค่ไหน โดยเฉพาะ Debian 12 ที่ยัง vulnerable อยู่ (Debian Security Tracker)

Recap

• ตรวจสอบเวอร์ชัน Ghostscript บนเซิร์ฟเวอร์ของคุณแล้วหรือยัง
• ถาม hosting provider ว่าอัปเดตแพ็คเกจแล้วหรือยัง
• ถ้าใช้ Docker ทำการ rebuild image ใหม่ทั้งหมด
• พิจารณาบล็อก PDF upload ชั่วคราวถ้ายังแก้ไม่ได้
• ปิดการ render PDF ใน ImageMagick policy เป็นการชั่วคราว
• ติดตามข่าวจาก BleepingComputer และ Wordfence เพื่ออัปเดตสถานการณ์
• สำหรับทีม IT ให้สแกนหา CVE-2026-39919 ในทุก production environment